16歳未満の利用者がいるサービス、教育・保育の現場、こども向けの商品・コンテンツを扱う事業者に関係します。何が決まっていて、何がこれから政令・規則で決まるのかを分けて書きます。
1. 現行制度との違い
現行規定では、子供の個人情報の取扱いに係る事業者の義務は、法律の条文ではなくガイドラインとQ&Aの記載のみでした。「本人の同意」を得ることが求められる場面で、未成年者が同意の結果を判断できる能力を有していない場合は親権者・法定代理人等から同意を得る必要があるとされ、個別具体的に判断すべきとしつつも、一般的には12歳から15歳までの年齢以下の子供の場合に法定代理人等から同意を得る必要があるとされてきました（通則ガイドラインに関するQ&A）。
今回の改正で初めて、法律上16歳未満という明確な年齢基準が設けられます（根拠として、既存のQ&A〈Q1-62〉と、欧州の一般データ保護規則〈GDPR〉8条が参照されています）。「だいたい12〜15歳」という運用上の目安から、「16歳未満」という法定の線引きに変わる点が最大の違いです。
2. 課される3つの規律
(1) 本人の最善の利益を優先する責務規定
事業者は、当該未成年者の年齢および発達の程度に応じて、その最善の利益を優先して考慮した上で、未成年者の権利利益を害することのないように必要な措置を講ずるよう努めなければならない旨の責務規定が新設されます。
(2) 通知・同意取得への法定代理人の関与の義務付け
利用目的の通知等、目的外利用・要配慮個人情報取得・第三者提供の際の同意取得について、16歳未満の本人に代わって法定代理人の関与が義務付けられます。
① 本人が16歳未満であることを事業者が知らないことについて正当な理由がある場合
② 法定代理人が本人の営業を許可しており、事業者が当該営業に関して個人情報を取得した場合
③ 本人に法定代理人がない、またはそのように事業者が信ずるに足りる相当な理由がある場合
(3) 利用停止等請求の要件緩和
本人（法定代理人を含む）は、違法行為の有無等を問わず、利用停止等を請求できるようになります。
① 法定代理人の同意を得て取得された保有個人データである場合
② 要配慮個人情報の取得に係る例外要件と同種の要件に該当する場合
③ 本人が16歳以上であると信じさせるために詐術を用いた場合
④ 法定代理人が本人の営業を許可しており、事業者が当該営業に関して保有個人データを取得した場合 等
法定代理人の関与・責務規定については、行政機関等についても同様の改正が行われます。
3. いつから
この規律は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。上限は2028年7月16日で、実際の施行日は政令で指定されます。決定タイムラインで追記していきます。
4. 自社が該当するかを考える順序
個別の判断はできませんが、確認の順序は示せます。
- 自社のサービス・商品の利用者に16歳未満が含まれるか。含まれる場合、現行の年齢確認・同意取得の運用（何歳を目安にしているか）を書き出しておく。
- 16歳未満の利用者から個人情報を取得・利用する場面で、現在どのように法定代理人の関与を得ているか（または得ていないか）を確認する。
- 本人が16歳未満であることを確認する手段（年齢入力・保護者確認等）の有無を確認する。詐術による例外は「事業者側に正当な理由がある不知」を前提としており、確認手段を持たないこと自体が正当化されるわけではない点に注意する。
- 教育・保育の現場でこどもの個人情報を扱っている場合は、法令・ガイドラインの周知が現場まで届く体制になっているかを確認する（国会附帯決議でも周知徹底が求められている）。
出典
- S-08/S-18個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第2の1「子供の個人情報の取扱いに関する規律」（確認日 2026-09-04）
- S-16個人情報保護委員会事務局「政令・規則等で定める事項の全体像」（PDF・2026年8月26日）（確認日 2026-09-04）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）